Yayınlarımız

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”)[1] 7 inci maddesinin üçüncü fıkrasında “Kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.” hükmü yer almaktadır. 

Bu hüküm karşısında, Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından hazırlanan “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkındaki Yönetmelik” (“Yönetmelik”)[2] 28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanmıştır. Kanunun açık hükmü uyarınca ilgili Yönetmelik, verinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, kişisel verileri resen veya ilgili kişinin talebi üzerine silme, yok etme veya anonim hale getirme yükümlülüğünün usul ve esaslarını düzenlemek amacıyla yayımlanmıştır. Buna ek olarak, işbu Yönetmeliğe dayanak olarak bahse konu işlemlerin ne şekilde yapılacağı hususunda uygulamada açıklık sağlanması amacıyla, Kurul tarafından Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi (“Rehber”)[3] hazırlanmış ve yayımlanmıştır. 

Yönetmelik içerisinde çeşitli tanımlar yapılmış olup kişisel verilerin imhası, silme, yok etme veya anonim hale getirme şeklinde tanımlanmıştır. Bunun yanı sıra, kişisel verileri saklama ve imha politikasına ilişkin esasları ve işbu politikanın kapsamları da Yönetmelik’te detaylıca açıklanmıştır. 

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi hususları Yönetmelik’te hüküm altına alınmış olup Rehber’de her bir imha eyleminin yöntemleri, pratikte nasıl uygulanacağı detaylıca açıklanmıştır. Kısaca değinmek gerekirse;

Kişisel Verilerin Silinmesi

Yönetmelik uyarınca, kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemeyecek ve tekrar kullanılamayacak hale getirilmesi işlemi, kişisel verilerin silinmesi işlemidir. Veri sorumlusu, işbu hususların yerine getirilmesi için gerekli her türlü idari ve teknik tedbiri almakla yükümlüdür. 

İlgili Rehber uyarınca, kişisel verilerin silinmesi işleminde takip edilmesi gereken yol haritası şu şekildedir; öncelikle silinecek kişisel verilerin tespit edilmesi ile süreç başlar; akabinde, silinecek kişisel veri için ilgili kullanıcılar tespit edilir; daha sonra işbu kullanıcıların erişim yöntemlerinin tespiti sağlanır ve son olarak erişimin kaldırılması sağlanarak kişisel veriler silinir. 

Kişisel verilerin çeşitli kayıt ortamlarında saklanabildikleri dikkate alındığında, her bir kayıt ortamına göre uygun yöntemin belirlenmesi ve bu şekilde silme işleminin gerçekleştirilmesi gerekmektedir. Örneğin, bulut ortamındaki (Office 365, Salesforce, Dropbox…) veriler silme komutuyla (kullanıcının aynı zamanda bulut sistemi üzerinde silinmiş verileri geri getirme yetkisinin olmadığına dikkat edilmelidir), kağıt ortamında bulunan kişisel veriler karartma yöntemiyle (kesilerek veyahut geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep ile görünemez hale getirilmesi), merkezi sunucuda yer alan ofis dosyaları, dosyanın işletim sistemindeki silme komutuyla veya dosya/dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim hakkının kaldırılması yoluyla (kullanıcının aynı zamanda sistemi yöneticisi olmadığına dikkat edilmelidir), flash tabanlı saklama ortamlarındaki kişisel veriler ise şifreli saklanmalı ve bu ortamlara uygun yazılımların kullanılmasıyla ve son olarak kişisel verilerin bulunduğu ilgili satırların veri tabanı komutlarıyla (DELETE vb.) (işlem gerçekleştirilirken kullanıcının veri tabanı yöneticisi olmadığına dikkat edilmelidir) silinmesi gerekir.  

Kişisel Verilerin Yok Edilmesi

Yönetmelik uyarınca, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi, kişisel verilerin yok edilmesidir. Veri sorumlusu, işbu şartların sağlanması için gerekli her türlü idari ve teknik tedbiri almakla yükümlüdür. Burada kişisel verilerin silinmesinden farklı olarak dikkat edilmesi gereken husus, kişisel verilerin hiç kimse için erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirildiği hususudur. Zira, silinme işleminde ilgili kullanıcılar tarafından erişme, geri getirme ve tekrar kullanma yetkisi ortadan kalkmaktadır. 

Verilerin yok edilebilmesi için bulundukları sistemlere göre yöntemler yer almaktadır. Bu sistemler yerel sistemler, çevresel sistemler, kağıt ve mikrofiş ortamları ve bulut ortamları şeklinde kategorileştirilebilir. İşbu yöntemlerin her biri Rehber’de detaylıca açıklanmış olup kısaca bahsetmek gerekirse;

Yerel sistemler için yok etme yöntemleri yüksek değerde manyetik alan sağlanarak de-manyetize etme yöntemi; eritme, yakma vb. usuller kullanılarak fiziksel yok etme yöntemi; özel yazılım ile en az 7 kere olacak şekilde 0 ve 1 yazılarak üzerine yazma yöntemi olacak şekilde belirtilebilir. Çevresel sistemler için yok etme yöntemleri ise, bulundukları ortamlara göre (ağ cihazları, flash tabanlı ortamlar, manyetik bant, manyetik disk, optik disk gibi) gerek yerel sistemde kullanılan yöntemlere göre gerekse de silme komutu, block erase etme yöntemiyle yok edilmektedir. Kağıt ve mikrofiş ortamlarda yer alan kişisel verilerin, kalıcı ve fiziksel olarak ortam üzerine yazılı olması nedeniyle yok edilebilmeleri için ana ortamın yok edilmesi gerekmektedir. Buna örnek kağıt imha ve kırpma makineleri verilebilir. Kağıt formattan tarama yoluyla elektronik ortama aktarılan kişisel veriler ise yerel sistemlerde yer alan yok etme usulleri ile yok edilmelidir. Bulut ortamı olarak adlandırılan sistemlerde yer alan kişisel veriler için ise öncelikle, depolanması ve kullanımı sırasında, hizmet alınan her bir bulut çözümü için ayrı şifreleme anahtarları kullanılması ve bulut bilişim hizmet ilişkisi sona erdiğinde kişisel veriler için gerekli şifreleme anahtarlarının tüm kopyalarının yok edilmesi gerekmektedir. Bununla birlikte, arızalanan veyahut bakıma gönderilen cihazlarda yer alan kişisel verilerin yok edilmesine ilişkin yöntemler detaylıca Rehber’de belirtilmiştir. 

Kişisel Verilerin Anonim Hale Getirilmesi

İşbu imha yöntemindeki amaç ise veri ile verinin tanımladığı kişi arasındaki bağın kopartılması olup doğrudan veyahut dolaylı tanımlayıcıların çıkartılması veyahut değiştirilmesi ile ilgili kişinin kimliğinin saptanabilme veyahut ayırt edilebilir olma özelliğinin ortadan kalkması sağlanmaktadır. Diğer imha türleri gibi anonim hale getirme yönteminde de veri sorumlusu, işbu hususun sağlanması için gerekli her türlü idari ve teknik tedbirleri almakla yükümlü kılınmıştır. 

Kişisel verilerin anonim hale getirilmesi yukarıda açıklandığı gibi veri ile verinin tanımladığı kişi arasındaki ilişkinin ortadan kaldırılmasıdır. Kişisel verilerin yer aldığı kayıtlara değer düzensizliği sağlamayan anonim hale getirme yöntemleri (değişkenleri çıkartma, kayıtları çıkartma, örnekleme vb.) veya değer düzensizliği sağlayan anonim hale getirme yöntemleri (mikro birleştirme, veri değiş tokuşu, gürültü ekleme vb.) veya anonim hale getirmeyi kuvvetlendirici istatistik yöntemler (maskeleme, çoğaltma vb.) uygulanarak veri ile ilgili kişi arasındaki bağ ortadan kaldırılmaktadır. Yöntemlerin her biri örnekleriyle birlikte Rehber’de detaylıca açıklanmıştır.

Bununla birlikte, anonim hale getirme yönteminin seçilmesinde verinin niteliği, büyüklüğü, çeşitliliği, veriden sağlanmak istenen fayda, verinin anonimliğinin bozulması halinde ortaya çıkabilecek zararın büyüklüğü, etki alanı ve daha birçok özelliklerin veri sorumlusu tarafından dikkate alınması gerekmektedir. Yine aynı şekilde, veri sorumlusu kişisel verilerin anonim hale getirilmesine karar vermek için anonim hale getirilmiş veri kümesinin başka bir veri kümesi ile birleştirilerek anonimliğinin bozulmaması, anonim hale getirilmiş veri kümesindeki değerlerin birleşip bir varsayım veya sonuç üretilebilir hale gelmemesi gibi şartların yerine getirilmiş olmasını sağlamalıdır. 

Son olarak, anonim hale getirilmiş kişisel verilerin, çeşitli müdahaleler ile tersine döndürülmesi ve anonim hale getirilmiş verinin, yeniden kimliği tespit edici ve gerçek kişileri ayırt edici hale dönüşmesi riski olup olmadığı araştırılarak yukarıda yöntemlerin uygulanması gerekmektedir. [4] 

---

[1] Kişisel Verilerin Korunması Kanunu

[2] Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkındaki Yönetmelik

[3] Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi

[4]Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi, s.48